IT/Datenschutz
Reform der KI-Verordnung? Der KI-Omnibus
Die Europäische Union passt ihren Regulierungsrahmen für Künstliche Intelligenz weiter an.
Am 27. Juli 2026 ist der sogenannte KI-Omnibus in Kraft getreten.
Durch den KI-Omnibus wird die KI-Verordnung punktuell modifiziert. Ziel ist es, Unternehmen mehr Zeit und Klarheit bei der Umsetzung zu verschaffen und insbesondere kleineren Unternehmen die Einhaltung der Vorgaben zu erleichtern. Die jüngsten Änderungen sollen die Umsetzung der KI-Verordnung (KI-VO) damit vor allem für Unternehmen praktikabler machen, ohne das hohe Schutzniveau aufzugeben. Neben Fristverschiebungen und Erleichterungen bei Compliance-Pflichten sieht die Reform zugleich eine deutliche Stärkung der europäischen Aufsicht vor.
Was ändert sich an der Umsetzung?
Zentral ist die Verlängerung der Fristen für die Anwendung der Bestimmungen zu Hochrisiko-KI-Systemen. Für Hochrisiko-KI-Systeme nach Anhang III gelten die Vorschriften nun erst ab dem 2. Dezember 2027.
Für Hochrisiko-KI in physischen Produkten, etwa Maschinen, Spielzeug oder Aufzügen nach Anhang I, verschiebt sich die Frist auf den 2. August 2028. Für Betroffene bedeutet dies einen erheblichen Zeitgewinn bei der Umsetzung der Anforderungen der KI-Verordnung. Gleichwohl sollten Unternehmen den jeweils aktuellen Umsetzungszeitplan der EU-Kommission im Blick behalten, da nicht sämtliche Pflichten der KI-Verordnung gleichermaßen verschoben werden.
Auch Doppelregulierung soll begrenzt werden: Überschneiden sich Anforderungen der KI-Verordnung mit anderen EU-Vorschriften mit mindestens gleichwertigen Sicherheitsstandards, beispielsweise in den Bereichen Maschinen, Medizinprodukte oder Luftfahrt, können die Anforderungen der KI-Verordnung zurücktreten. Zudem wurden Lockerungen bei der Einordnung von KI-Systemen als Sicherheitsbauteile eingeführt. Künftig gilt nicht jedes KI-System in einem Produkt automatisch als Sicherheitsbauteil; entscheidend ist der konkrete Einsatz.
Um die Umsetzung gerade für KMU und die neue Kategorie der sog. „kleinen Midcap-Unternehmen“ weiter zu vereinfachen, werden Erleichterungen, die bislang vor allem für KMU galten, auf kleine Midcap-Unternehmen ausgeweitet. Midcap-Unternehmen sind Unternehmen, die größer als kleine und mittlere Unternehmen (KMU) sind, aber noch nicht zu den großen Unternehmen zählen. Hierzu gehören insbesondere vereinfachte Dokumentationsanforderungen, reduzierte Verwaltungsaufwände sowie eine stärkere Berücksichtigung der Unternehmensgröße bei der Verhängung von Sanktionen. Diese Änderungen sollen kleinere Marktteilnehmer entlasten. Sie gleichen aus, dass komplexe KI-Regulierung für KMU und kleine Midcap-Unternehmen häufig deutlich höhere relative Belastungen verursacht als für Großunternehmen.
Darüber hinaus bleibt die Pflicht zur Vermittlung von KI-Kompetenzen bestehen. Die Anforderungen werden jedoch vereinfacht: Es wird klargestellt, dass keine Pflicht zum Nachweis bestimmter KI-Kompetenzen bei bestimmten Mitarbeitern besteht. Weiterhin bedarf es aber des Nachweises, dass KI-Kompetenzen vermittelt wurden.
Zugleich sollen Kommission und Mitgliedstaaten künftig eine stärkere Rolle bei der Förderung von KI-Kompetenz übernehmen.
Was ist neu?
Der neue Art. 4a KI-VO ermöglicht es Betreibern und Entwicklern, im Rahmen von sog. „Bias-Tests“ besondere Kategorien personenbezogener Daten zu verarbeiten. Die Überprüfung algorithmischer Diskriminierung setzt häufig voraus, dass Informationen über Geschlecht, ethnische Herkunft oder andere durch Art. 9 DS-GVO geschützte Merkmale verarbeitet werden. Gerade dies war bislang rechtlich schwierig. Nun ist die Verarbeitung aber zulässig, wenn ein Bias ansonsten nicht erkennbar wäre, die Daten pseudonymisiert werden und die Daten nach Abschluss der Tests gelöscht werden. Der europäische Gesetzgeber versucht damit, einen Ausgleich zwischen Antidiskriminierung und einem angemessenen Datenschutzniveau zu schaffen.
Zudem wird das Testen und Entwickeln von KI-Systemen erleichtert. Der Zugang zu regulatorischen Reallaboren und Sandboxes wird erweitert. Dabei handelt es sich um kontrollierte Testumgebungen, in denen Unternehmen neue KI-Systeme unter Aufsicht erproben können, bevor diese vollständig am Markt eingesetzt werden. Dadurch sollen technische, rechtliche und praktische Fragen frühzeitig geklärt werden. Zusätzlich ist ein neues Reallabor auf EU-Ebene vorgesehen.
Die verbotenen KI-Praktiken aus Art. 5 KI-VO werden erweitert.
Neu aufgenommen werden KI-Systeme, die der Erstellung nicht einvernehmlicher sexuell expliziter Inhalte oder von Darstellungen sexuellen Kindesmissbrauchs dienen, etwa sog. Nudifizierungs-Apps. Nudifizierungs-Apps sind KI-Anwendungen, die Fotos von Personen künstlich so verändern, dass diese scheinbar unbekleidet oder in sexuell expliziten Darstellungen erscheinen.
Bislang gab es hierbei eine Lücke, und KI-Systeme, deren einziger Zweck die Generierung solcher Inhalte war, konnten nahezu problemlos in Verkehr gebracht und betrieben werden. Die neue Regelung sieht allerdings kein generelles Verbot aller Systeme vor, die technisch zur Erzeugung solcher Inhalte in der Lage sind. Sie greift vielmehr dort, wo die missbräuchliche Nutzung absehbar ist und keine angemessenen Schutzmaßnahmen existieren, um diese zu verhindern. Das Verbot richtet sich damit insbesondere gegen Systeme, denen die entwicklerseitige Sperre fehlt, um solchen Missbrauch zu verhindern.
Die Rolle des AI-Office ändert sich. Durch die neuen Art. 75a bis 75d KI-VO entwickelt sich das bislang vor allem koordinierend tätige Organ zunehmend zu einer supranationalen Aufsichts- und Ermittlungsbehörde mit eigenen Befugnissen. Auffällig ist dabei die niedrige Eingriffsschwelle: Nach Art. 75a Abs. 2 KI-VO genügt bereits ein „berechtigter Grund zu der Annahme“, dass ein Anbieter oder Betreiber gegen die Verordnung verstößt. Ein Nachweis oder eine überwiegende Wahrscheinlichkeit ist nicht erforderlich; ein plausibler Anfangsverdacht reicht aus. Das AI-Office erhält zudem weitreichende Ermittlungsbefugnisse. Nach Art. 75a Abs. 4 KI-VO darf es, je nach Mitgliedstaat unter Richtervorbehalt, Vor-Ort-Inspektionen durchführen. Diese können die Durchsuchung von Geschäftsräumen, Grundstücken und Immobilien, die Prüfung und Kopie verfahrensrelevanter Bücher und Daten sowie mündliche oder schriftliche Befragungen betroffener Personen, Vertreter oder Beschäftigter umfassen. Erforderlichenfalls dürfen Räume, Bücher und Unterlagen für die Dauer der Inspektion versiegelt werden. Bei Widerstand sind auch Zwangsmaßnahmen, gegebenenfalls durch Polizeikräfte des Mitgliedstaats, möglich. Art und Umfang der Maßnahmen richten sich hier auch nach dem Ermessen des AI-Office.
Die Befugnisse gehen damit deutlich über eine reine Dokumentenkontrolle hinaus und erfassen faktisch sämtliche Informationen, die im Zusammenhang mit dem untersuchten KI-System stehen.
Fazit:
Die Reformen verfolgen erkennbar das Ziel, einerseits die KI-Verordnung praxistauglicher zu machen, andererseits die Möglichkeiten zur Durchsetzung der Verordnung zu stärken. Unternehmen sollten die verlängerten Fristen nutzen, um ihre KI-Compliance strukturiert aufzubauen. Insbesondere Anbieter und Betreiber von Hochrisiko-KI-Systemen haben nun mehr Zeit, ihre Systeme zu inventarisieren, die Risikoeinstufung zu überprüfen und die erforderlichen Compliance-Prozesse vorzubereiten. Die zukünftige Praxis wird zeigen, ob die neu gewonnene Flexibilität tatsächlich mit einem angemessenen Maß an Rechtssicherheit einhergeht oder ob die umfassenden Kompetenzen des AI-Office zu neuen Einschränkungen führen.
In Zusammenarbeit mit Maximilian Oppermann, Werkstudent HEUSSEN Rechtsanwaltsgesellschaft mbH.
